OpenVPN дарбазасын UFW эрежелери менен бир LAN менен чектөө

Өрт дубал файлын ачпастан мурун уруксатты чечиңиз: аутентификацияланган кардарлар бир белгилүү субнетке туташуу ача алат, ал эми дарбаза кардар кошумча маршруттарды орнотсо да ар кандай башка транзиттик жолду баш тартышы керек. Ошол сүйлөм — долбоор, жана төмөнкү ар бир эреже аны аткаруу үчүн бар. Андан кененирээк нерсе, мисалы бүт жеке дарек мейкиндиги, туннель аркылуу интернетке чыгуу же теңдештер аралык трафик, өз чечимин талап кылган башка долбоор. Эрежелер атайын кызыксыз да, анткени акылдуу өрт дубал дегенибиз кийин эч ким текшере албаган дубал.

Алгач топология менен уруксатты жазып алыңыз

Мисалда колдонуучу мейкиндигиндеги TUN түзмөгү деп аталган Community OpenVPNtun0 сервери, кардар пулу 10.77.0.0/24, жана бир туташкан субнет 192.168.60.0/24 lan0 интерфейсинде колдонулат. IPv4 багыттоо мурунтан иштеп жатат жана LANдын пулга кайтуу маршруту бар, ошондуктан бул жерде эч нерсе алардын ортосундагы котормого көз каранды эмес.

Бул хосттогу өрт дубал UFWге таандык жана эч бир контейнер эрежелер жыйнагы же өзүнчө nftables таблицасы эртерек кабыл алуу жолун орното албайт. Фильтрди айланып өткөн агымды бошотуу кыска жолу коргоо чынжырларын жасалгага айлантат, ошондуктан эч бири активдүү эместигин ырастаңыз. OpenVPNдин өзүнүн client-to-client багыттоосун өчүк калтырыңыз, анткени операциялык системанын фильтринен эч качан өтпөгөн теңдештер аралык трафикти аны менен чектөө мүмкүн эмес. Сырткы угуучу жана административдик эрежелер кандай болсо ошондой калат, анткени бул өзгөртүү өрт дубалды алмаштыруунун ордуна шифрленген туннель трафигин башкарат.

Коргоочуларды UFWнин эрте кабыл алууларынын алдына коюңуз

Маршрут уруксаты жана андан кийин баш тартуу катуу чек үчүн жетишсиз. Стандарттык before эрежелери кандайдыр бир колдонуучу эрежесин карабастан мурун орнотулган трафикти жана кээ бир ICMPни кабыл алат, ошондуктан өткөн жума уруксат берилген агым жаңы багыт чектөөсүнөн сыртта калышы мүмкүн, себеби анын дагы абалы бар. UFW файлдарын камдык көчүрүп, оңдоодон мурун тилкеден тышкаркы консолду ачык кармаңыз.

Файлдын *filter бөлүмүндө /etc/ufw/before.rules бар декларациялардын жанында жана кандайдыр бир эреже сабынын алдында эки чынжырды жарыялаңыз.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Декларациялардан кийин дароо жана кирүү менен багыттоо уруксаттарынын алдында аларга секирип, эмнени өткөрөрүн аныктаңыз.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Бөлүмдүн калганын жана анын COMMIT сабын сактаңыз. Экинчи фильтр таблицасын чаптоо же байланышсыз эрежелерди өчүрүү — өрт дубалдын өзгөрүүсүн тыныгууга айландырган жол, ал эми файл маанилүү жалгыз көчүрмө болуудан бир кайра жүктөө алыстыкта.

Ар бир коргоонун эмнени өткөрөрүн жана баш тартканын окуңуз

Биринчи чынжыр иштетүүнү улантат эгер булак пулда болсо, багыт ошол бир субнет болсо, чыгуу интерфейси LAN болсо жана пакет агымынын баштапкы багыты менен жүрсө гана. Туннелден келген калгандын баары ыргытылат, анын ичинде пулдан тышкаркы булак жана уруксат берилген субнеттен тышкаркы ар кандай багыт.

Теңдештер аралык пакет tun0 ичине кирип, андан чыгат, ошондуктан багыт текшерүүсүнө жетээрден мурун эле LAN интерфейс сыноосунан өтпөйт. LANдан кардарларга жаңы туташуулар да жооп багытынын сыноосунан өтпөйт, бул демейки боюнча тескери чалуу жолун жабат.

RETURN бутагы кадимки UFW саясатын күчүндө кармайт. Бул чынжырлар фильтрлейт, ал эми кийин кошкон маршрут уруксаты аман калган пакеттин кабыл алынарын дагы чечет. Так ошол бөлүнүү кийин уруксат берилген субнетти бир жерден өзгөртүүгө мүмкүндүк берет. Эгер коргоочулар пакеттерди түз кабыл алышса, ар бир келечектеги эреже эки жолу кошулушу керек болмок.

Субнетке уруксат бериңиз жана каптал эшиктерди жабыңыз

Алгач маршрут уруксатын алдын ала көрүңүз, анан колдонуу үчүн алдын ала көрүү белгисин алыңыз: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Андан кийин колдонуучу эрежелеринин тартибин карап чыгыңыз, анткени эртерек баш тартуу кийинки уруксаттан дагы жеңет. Бүт субнетке уруксат да туура эмес форма, эгер бир гана хосттун HTTPS порту жеткиликтүү болушу керек болсо.

Кирүүнү ыргытуу эмне кыларын байкаңыз: туннель кардарлары дарбазанын өзүндөгү эч бир кызматка жете алышпайт, анын LAN дарегине байланган DNS угуучусун да кошкондо. Ал жерде DNS жайгаштыруу ыргытуудан мурун атайын жасалган өзгөчөлүктү жана кайра каралган уруксат келишимин талап кылат. Эгер UFW IPv6ны башкарса, tun0 үчүн before6.rules файлында да тиешелүү ыргытууларды кошуңуз, анткени IPv4 багыттардын тизмеси IPv6 пакеттери жөнүндө эч нерсе айтпайт.

Алдын ала көрүүнү эмес, жүктөлгөн саясатты текшериңиз

Кайра жүктөөнү алдын ала көрүңүз, аны тейлөө терезесинде колдонуңуз жана тирүү эрежелер жыйнагын окуңуз.

sudo ufw --dry-run reload
sudo ufw show raw

Туннель коргоочулары демейки абал жана ICMP уруксаттарынын алдында пайда болорун ырастаңыз. Жөнөкөй ufw status кол менен оңдолгон before эрежелерин көрсөтпөйт, ошондуктан операторлор эреже жок деп жыйынтык чыгарышат, бирок чындыгында ал жүктөлгөн. Үзүндү издегендин ордуна чийки тизмени жогорудан төмөн окуңуз. Эгер коргоочулар абал уруксатынан кийин пайда болсо, чек файл айтканды аткарбай жатат.

Андан кийин текстти эмес, жүрүм-турумду сынаңыз. Уруксат берилген хостко жаңы туташуу ачып, жоопту караңыз, субнеттен тышкаркы багытка зыянсыз сурам жөнөтүп, анын өлөрүн ырастаңыз, теңдештер аралык туташууну сынап көрүңүз, дарбазадагы жергиликтүү кызматты сынап көрүңүз жана суралбаган LANдан кардарга туташууну сынап көрүңүз. Өзгөртүүгө чейин болгон чөйрөдөн тышкаркы бир агымды кошуңуз жана машинанын бүт көзөмөл таблицасын бошотуунун ордуна ошол агымды гана тазалаңыз.

Чектөөлөрдү эрежелердин жанына жазыңыз: бул транзитти чектейт, башка эч нерсени эмес. Бул кардардын өз интернет байланышын колдонуусуна тоскоол болбойт, уруксат берилген LAN хосттун трафикти андан ары жөнөтүүсүнө тоскоол болбойт жана уруксат берилген кызматтардын ичиндеги аутентификациянын ордун баспайт.